Ogni azienda tratta dati personali: la busta paga di un dipendente, l’indirizzo di un cliente, il curriculum di un candidato, le immagini di una telecamera. Il Regolamento europeo 2016/679, conosciuto come GDPR, non chiede di riempire moduli ma di sapere quali dati hai, perché li tieni, per quanto tempo e chi può vederli. Questa guida spiega da dove si comincia in una piccola o media impresa e quali documenti tenere pronti.
Le regole di riferimento
La disciplina nasce dal Regolamento (UE) 2016/679, applicabile in tutta l’Unione europea, e si completa con il Codice in materia di protezione dei dati personali (D.Lgs. 196/2003), rivisto per adeguarlo al Regolamento. A questi si aggiungono i provvedimenti del Garante per la protezione dei dati personali, che spiegano come applicare le regole a casi concreti, e — nel rapporto di lavoro — le norme dello Statuto dei lavoratori sui controlli a distanza.
Il principio di fondo è la responsabilità di chi decide: nessuno rilascia un’autorizzazione preventiva, ma l’azienda deve essere in grado di dimostrare, in caso di verifica o di reclamo, che le scelte fatte sono adeguate.
Chi fa cosa: titolare, responsabile, persone autorizzate
- Il titolare del trattamento è l’azienda, nella persona del legale rappresentante: decide quali dati raccogliere e come usarli, e risponde delle scelte.
- Il responsabile del trattamento è chi tratta i dati per conto dell’azienda: il consulente del lavoro che elabora le paghe, il commercialista, la società che gestisce il gestionale o il sito, il fornitore del servizio di posta elettronica, chi ospita i server. Con ciascuno va firmato un accordo scritto che stabilisce cosa può fare con i dati, per quanto tempo li conserva e come li protegge.
- Le persone autorizzate sono i dipendenti e i collaboratori che, per lavorare, accedono ai dati: vanno individuati per iscritto, istruiti su cosa possono fare e su cosa no, e formati.
- Il responsabile della protezione dei dati (DPO) è obbligatorio in alcuni casi: pubbliche amministrazioni ed enti pubblici, aziende che monitorano sistematicamente le persone su larga scala e aziende che trattano su larga scala dati sensibili o giudiziari. Nella maggior parte delle piccole imprese non è obbligatorio; se lo si nomina volontariamente, valgono comunque gli obblighi previsti per il ruolo.
Informative e basi giuridiche
A ogni persona di cui raccogli dati va detto, in modo chiaro e prima di iniziare, chi sei, quali dati raccogli, perché, per quanto tempo li conservi, a chi li comunichi e quali diritti ha. Sono le informative degli articoli 13 e 14 del Regolamento, che in azienda diventano in genere tre o quattro documenti diversi:
- informativa ai dipendenti e ai collaboratori, consegnata all’assunzione;
- informativa ai candidati che inviano un curriculum;
- informativa ai clienti e ai fornitori, spesso inserita nei contratti o negli ordini;
- informativa sul sito internet, con la parte relativa ai cookie e ai moduli di contatto.
Ogni trattamento deve appoggiarsi a una base giuridica: l’esecuzione di un contratto, un obbligo di legge (per esempio quelli fiscali e previdenziali), un interesse legittimo dell’azienda oppure il consenso. Il consenso serve meno spesso di quanto si pensi: per pagare uno stipendio o emettere una fattura non è richiesto, mentre è necessario per l’invio di comunicazioni commerciali non richieste. Quando serve, deve essere libero, specifico e revocabile in qualunque momento.
Il registro dei trattamenti
Il registro dei trattamenti previsto dall’articolo 30 è la mappa dei dati dell’azienda: per ciascuna attività (gestione del personale, contabilità, vendite, videosorveglianza, sito internet) indica finalità, categorie di persone e di dati, destinatari, tempi di conservazione e misure di sicurezza. Il Regolamento prevede un’esenzione per le organizzazioni con meno di 250 dipendenti, ma con eccezioni tanto ampie — trattamenti non occasionali, dati sensibili, rischi per i diritti delle persone — che nella pratica quasi ogni azienda con dipendenti ricade nell’obbligo. Il Garante ne raccomanda comunque la tenuta: è anche lo strumento più semplice per dimostrare di aver fatto le verifiche.
Tenerlo aggiornato non richiede software particolari: un foglio di calcolo ordinato, rivisto quando si aggiunge un servizio o un fornitore, è sufficiente.
Sicurezza dei dati e violazioni
L’articolo 32 chiede misure “adeguate al rischio”, senza imporre una tecnologia precisa. In un’azienda di poche persone significa soprattutto:
- account personali con credenziali non condivise e password robuste, meglio con verifica in due passaggi;
- permessi differenziati: chi lavora in produzione non deve vedere le buste paga;
- backup regolari, conservati anche fuori dalla sede, e prova periodica del ripristino;
- antivirus e aggiornamenti dei sistemi, compresi telefoni e tablet usati per lavoro;
- armadi chiusi per i documenti cartacei e distruzione sicura di quelli da eliminare;
- regole scritte sull’uso della posta elettronica e dei dispositivi aziendali;
- cancellazione dei dati alla scadenza dei tempi di conservazione previsti.
Se accade una violazione dei dati — un attacco informatico, un file inviato alla persona sbagliata, il furto di un portatile, un archivio smarrito — l’evento va valutato e, quando comporta un rischio per le persone coinvolte, notificato al Garante entro settantadue ore dal momento in cui se ne è avuta conoscenza; quando il rischio è elevato vanno informate anche le persone interessate. Conviene tenere un registro interno di questi episodi, compresi quelli non notificati, con la motivazione della scelta.
In alcuni casi, prima di iniziare un trattamento particolarmente delicato, serve una valutazione d’impatto: per esempio quando si introducono sistemi di monitoraggio sistematico o si trattano dati sensibili su larga scala.
La formazione del personale
Il Regolamento non fissa un numero di ore né una scadenza per la formazione privacy, ma la richiede in più punti: le persone autorizzate devono essere istruite, la formazione è una delle misure di sicurezza dell’articolo 32 ed è tra i compiti del DPO. In pratica serve perché la maggior parte degli incidenti nasce da un gesto quotidiano: un allegato inviato all’indirizzo sbagliato, una password condivisa, un documento lasciato sulla stampante, un messaggio con dati di un cliente in un gruppo di lavoro.
La formazione va documentata: elenco dei partecipanti, contenuti, data e attestato. È la prova più semplice di aver fatto la propria parte, e va rinnovata quando entra personale nuovo o cambiano i sistemi. I corsi privacy del negozio sono pensati per questo, con verifica finale e attestato rilasciato da ANFOS.
Videosorveglianza e strumenti di lavoro
Le telecamere in azienda sono ammesse per esigenze reali — sicurezza del patrimonio, tutela delle persone — ma non possono essere usate per controllare a distanza l’attività dei lavoratori: su questo intervengono le norme dello Statuto dei lavoratori, che richiedono l’accordo con le rappresentanze sindacali o l’autorizzazione dell’Ispettorato del lavoro. Servono inoltre i cartelli che informano della presenza dell’impianto, tempi di conservazione delle immagini limitati e accessi riservati a persone individuate. Lo stesso ragionamento vale per i sistemi di localizzazione dei mezzi e per i programmi che registrano l’attività sul computer.
Domande frequenti
Siamo in tre: il GDPR si applica anche a noi?
Sì. Il Regolamento non prevede una soglia dimensionale: cambiano la complessità degli adempimenti e delle misure, non l’applicabilità delle regole.
Il consulente del lavoro è titolare o responsabile?
Dipende dal rapporto concreto. Nella maggior parte dei casi tratta i dati dei tuoi dipendenti per conto tuo e va nominato responsabile del trattamento con un accordo scritto; per alcuni obblighi professionali propri può agire come titolare autonomo. È un punto da chiarire nel contratto.
Per quanto tempo posso tenere i curriculum ricevuti?
Solo per il tempo necessario alla selezione, salvo che la persona acconsenta a una conservazione più lunga per future opportunità. Un termine ragionevole, dichiarato nell’informativa e rispettato, è la strada più sicura.
Le sanzioni sono davvero così alte?
Il Regolamento prevede importi massimi molto elevati, ma le sanzioni effettive sono graduate in base alla gravità, alla durata, al numero di persone coinvolte e alla collaborazione mostrata. Non ha senso indicare una cifra tipo: quello che conta è poter dimostrare di aver fatto le verifiche e adottato misure proporzionate.
I corsi e i documenti collegati
- Corsi privacy e GDPR per titolari, incaricati e personale
- Documento programmatico e modelli per la privacy
- Documenti obbligatori dell’azienda, per tenere insieme sicurezza e privacy
Privacy e sicurezza sul lavoro si incrociano più spesso di quanto sembri: le visite mediche, gli infortuni e i dati della sorveglianza sanitaria sono informazioni delicate da conservare con attenzione. Ne parlano la guida sui documenti obbligatori e quella sulla formazione obbligatoria. Per un dubbio sul tuo caso scrivi a info@aipacashop.it o chiama lo 06 9968439.
Corsi collegati a questa guida
